Bits（0 和 1）是信息的基本单位。从半导体门到高级编程语言，在所有常见的计算方法中，我们都用 Bits 进行处理，8-bit 字节、32-bit 或 64-bit 字符。另一方面，当今广泛使用的 SNARKs 基本上是在素数阶有限域上进行计算，通常为 256 bits 左右的阶上。类似 Polygon Zero 和 RISC Zero 这样的团队，已经通过从 256-bits 素数域转向更小的素数域（约为 64-bits 和 32-bits）而取得了性能突破。在 Ulvetanna，我们开始思考为什么我们不能将小域的优势一直扩展到最小的域：单个位域（the single-bit field）。

从数学上讲，1-bit 被称为 GF(2)，它属于一种称为二进制域（binary fields）的系列。对于那些之前没有接触过这个的人来说，二进制域可能一开始看起来很奇怪。k-bit 二进制域元素的加法等于 k-bit 字符串的异或（XOR）运算。而乘法二进制域元素则更像是多项式的模乘法，而不是整数的模乘法。然而，这些域具有一些卓越的特性，允许在数字电路中实现非常高效。在密码学中，二进制域并不是一个新概念；事实上，AES-GCM 加密标准使用了两种不同的二进制域，GF(28) 和 GF(2128)。在 SNARKs 和可验证计算的世界中，人们普遍忽视了备受赞誉的 Fast Reed–Solomon IOP of Proximity（https://eccc.weizmann.ac.il/report/2017/134/）。它是 STARK 协议的核心，最初也是为二进制域设计的。

数据类型不匹配不仅仅是一个理论问题；许多 ZK 电路，包括旨在验证 Keccak-256 哈希的电路，实际上使用了更大的域元素来表示 bit。例如，像 PLONK 和 Groth16 这样的椭圆曲线 SNARKs，需要 256-bit 素域来确保安全性，但它们通常使用具有 256-bit 域元素的电路，其中许多电线上的值为 0 或 1。这种做法浪费了 255-bit，并且导致证明有意义的 SNARKs 需要大量的内存。我们将这种现象称为嵌入开销（overhead of embedding）。像我们之前在一篇博客中所介绍的 Goldilocks，虽然减少了这种嵌入开销，但仍然可以节省 64 倍。这恰恰是我们希望用我们的技术实现的改进。

尽管二进制域看起来很有吸引力，但直到现在，存在着各种技术问题阻碍了它们在我们行业中的应用。然而，我们发现通过应用和调整最近几年发布的作品中的技术，如 Brakedown（https://dl.acm.org/doi/abs/10.1007/978-3-031-38545-2_7）、HyperPlonk（https://link.springer.com/chapter/10.1007/978-3-031-30617-4_17）和 Lasso（https://eprint.iacr.org/2023/1216），我们设法规避了这些问题。我们研究的结果是一个实用且高效的 GF(2) SNARK 协议。我们为 GF(2) 开发了一种多项式承诺方案，不会产生任何嵌入开销，这意味着承诺数据的 bit 效率就像承诺 64-bit chunks 一样高效。Binius 构造不仅适用于 GF(2)，还适用于一整个二进制域系统，这些域具有二次幂的大小，称为二进制域塔（a tower of binary fields）。这一点延伸到了算术化层面，意味着我们的 SNARK 支持的 PLONKish 和 AIR 约束系统同时可以访问整个域塔。实际上，约束系统层可以使用与 bit、字节和字匹配大小的数据类型，这将允许进一步提高性能。

在 SNARKs 中使用二进制域的一个潜在缺点是，无法在约束系统中“原生地”（natively）执行整数加法和乘法。然而，像 Lasso 这样高效查找参数的出现，已经降低了非本地电路操作的成本。虽然以前 Lasso 本身只被认为优于基于椭圆曲线的 SNARKS 的备用查找参数，但二进制塔提供了另一个可以捕捉 Lasso 改进的场景。利用我们可以廉价地直接操作 bit 的能力，高效地查找协议以及我们开发的其他几种多线性多项式协议的能力，我们的论文提供了能够高效执行整数加法和乘法的约束系统部件。作为另一个示例，我们还为验证完整的 Keccak-256 哈希函数提供了一个约束系统，每个 Keccak-f 排列只需要提交 12 千字节的数据。

我们认为二进制域塔 SNARKs 有三个主要优点。

降低内存用量和计算成本

与标准哈希函数兼容

硬件友好实现